Le crisi digitali come nuovo scenario di rischio
Dalla violazione del registro danese al sabotaggio dei supermercati francesi, fino all’attacco al sito della Farnesina, le crisi digitali mostrano effetti concreti su dati, produzione e servizi. Cybertech Europe 2026 indica nella resilienza cyber la risposta fondata su interconnessioni governate, responsabilità e capacità di continuare.
Una vulnerabilità digitale può alterare un impianto di refrigerazione, bloccare una linea produttiva, rallentare le forniture di un ospedale o interrompere un servizio pubblico essenziale, senza che il bene fisico sia mai stato il bersaglio diretto. La domanda da porsi, quindi, non è soltanto se un sistema sia protetto, ma quali funzioni dipendano da ciascun nodo tecnologico e che cosa accada all’insieme quando quel nodo viene meno.
Quadro normativo italiano e limiti della classificazione tradizionale
L’onzione stessa di infrastruttura critica è cambiata. In Italia il perimetro di sicurezza nazionale cibernetica, introdotto nel 2019, ha fissato obblighi e tutele per soggetti e funzioni strategiche; il decreto legislativo 138/2024, che ha recepito la direttiva NIS2, ha poi esteso gli obblighi a un numero molto più ampio di settori e organizzazioni, includendo espressamente la sicurezza della catena di approvvigionamento fra le misure richieste.
Anche così, una classificazione per settori e soglie dimensionali non cattura automaticamente tutte le interdipendenze di un’economia digitalizzata: infrastrutture di ambiti apparentemente ordinari possono diventare sistemicamente rilevanti per il numero di relazioni che sostengono.
Il 13 e 14 ottobre il Roma Convention Center – La Nuvola, all’EUR, ha ospitato la nona edizione di Cybertech Europe. Istituzioni, industria, specialisti cyber e imprese innovative si sono confrontati su strategia europea e resilienza digitale, intelligenza artificiale, infrastrutture critiche, Zero Trust, governance di CISO e CIO, filiere tecnologiche e minacce ibride.
Più che una vetrina di soluzioni, l’evento è stato un osservatorio su come la sicurezza informatica sta diventando una funzione strategica, nella quale capacità industriale, continuità dei servizi e responsabilità delle decisioni non possono più essere trattate separatamente.
Un calendario di eventi che ha evidenziato le vulnerabilità emergenti
Il calendario ha fatto il resto. La manifestazione si è aperta a pochi giorni dopo episodi che sembrano scelti apposta per illustrarne i temi: l’accesso abusivo al registro anagrafico danese, il sabotaggio degli impianti frigoriferi di centinaia di supermercati francesi e l’attacco al sito della Farnesina. Casi diversi per natura, autori e conseguenze, che questo dossier utilizza come chiavi di lettura del confronto romano.
Il filo conduttore più interessante, dunque, è stato l’abbandono dell’idea di cybersecurity come presidio confinato alla rete aziendale. Proteggere dati e sistemi resta necessario, ma non basta più a descrivere fin dove può arrivare il danno.
Proprietà emergente e dipendenze invisibili
Durante il confronto è stata evocata la nozione di «proprietà emergente»: il rischio complessivo di un insieme interconnesso non coincide con la somma dei rischi dei singoli componenti. Pesano gli effetti di propagazione, le dipendenze indirette, le concentrazioni che restano invisibili finché non cedono.
Un fornitore con accesso a un registro, un servizio di manutenzione remota o una piccola software house possono rivelarsi decisivi per la continuità di organizzazioni molto più grandi. Cambia anche il valore dei dati, che non risiede più soltanto nella quantità o nel contenuto di un archivio, ma nelle relazioni che si possono inferire incrociando fonti differenti.
Ne discende un metodo di analisi più esigente del tradizionale inventario degli asset. Occorre mappare le relazioni fra servizi, credenziali, fornitori, sistemi IT e dispositivi OT, individuando i punti in cui una singola dipendenza può innescare un guasto a cascata.
In quest’ottica la resilienza non consiste nel mantenere in salute ciascun apparato preso isolatamente, ma nella capacità di assorbire una perturbazione preservando le funzioni essenziali. Ed è qui che le PMI, spesso meno attrezzate sul piano organizzativo, rischiano di diventare il punto d’ingresso di compromissioni capaci di colpire un’intera filiera.
Credenziali, terze parti e superficie di attacco
La sicurezza di un servizio essenziale dipende anche da soggetti che non lo gestiscono direttamente, ma dispongono di accessi privilegiati o controllano componenti determinanti per il suo funzionamento. Una credenziale compromessa presso un fornitore può aprire un percorso verso un sistema pubblico; un dispositivo industriale raggiungibile da Internet può diventare il punto d’ingresso di un’interruzione operativa.
Misurare la robustezza della piattaforma principale, dunque, non è sufficiente: bisogna sapere quali autorizzazioni sono state concesse a terzi, come sono protette e come vengono effettivamente utilizzate.
Il caso del registro centrale danese (CPR)
Il caso del registro centrale della popolazione danese (CPR) ne mostra le conseguenze. Il 5 ottobre 2026 il Ministero danese competente per la digitalizzazione ha confermato un accesso non autorizzato a informazioni riferite a circa 8,8 milioni di persone, avvenuto attraverso il legittimo canale di consultazione di una società privata.
La cifra comprende anche persone decedute o emigrate e non corrisponde quindi al numero degli attuali residenti; fra i dati interessati figurano nomi, indirizzi e numeri identificativi CPR.
- Accesso protratto per circa dieci giorni nel mese di settembre.
- Scoperto da un dipendente dell’amministrazione del registro solo il 2 ottobre.
- L’autorità danese per la protezione dei dati ha segnalato un numero molto elevato di interrogazioni automatizzate.
- La ministra Christina Egelund ha riconosciuto che le salvaguardie non erano abbastanza solide.
La società attraverso cui è passata l’intrusione è, secondo la stampa, una piccola azienda informatica di Odense, Pays ApS, il cui amministratore ha confermato che il suo accesso legale al registro è stato abusato.
Ricostruzioni giornalistiche, a partire dal quotidiano Politiken, riferiscono che almeno tre account della società, incluso uno amministrativo, erano protetti dalla password elementare «123456». Il dettaglio non figura però come conclusione tecnica accertata nelle comunicazioni ufficiali, e l’indagine di polizia sulle modalità precise dell’intrusione resta distinta dai fatti confermati.
Il caso illustra in modo quasi didattico la «proprietà emergente»: un fornitore di dimensioni minime, titolare di un accesso legittimo, è diventato la porta d’accesso ai dati di circa 8,8 milioni di persone, pari all’80 % degli 11 milioni di nominativi presenti nel registro.
Autenticazione multifattore, gestione del ciclo di vita degli account, limiti al volume delle interrogazioni e rilevamento tempestivo delle attività anomale non sono accorgimenti accessori: sono condizioni minime per chi concede a terzi l’accesso a dati di questa portata, e per chi quell’accesso lo riceve.
Sabotaggio dei frigoriferi nei supermercati francesi
Le dipendenze tecnologiche generano rischi anche quando non sono coinvolti archivi personali. Nella notte fra l’11 e il 12 ottobre gli attaccanti hanno preso il controllo remoto degli impianti di refrigerazione di centinaia di supermercati francesi, fra cui punti vendita delle insegne Intermarché, Netto, Coopérative U, Carrefour, Monoprix e Leclerc, forzando cicli di sbrinamento e portando in alcuni casi banchi e celle fino a 50 °C.
Il punto d’ingresso sono stati controllori che governano la refrigerazione del negozio, spesso amministrati a distanza dalle ditte di manutenzione. Nell’allerta pubblicata il 12 ottobre il CERT‑FR ha indicato i controllori Danfoss delle serie AK‑SM e AK‑SC; il 13 l’ANSSI ha esteso il quadro ai sistemi Copeland e Dixell.
- Contromisure raccomandate:
- Disconnessione dei controllori o filtraggio rigoroso degli accessi.
- Limitazione dell’amministrazione remota a indirizzi fidati.
- Aggiornamento firmware e revisione delle credenziali di default.
- Impatto: perdita di merce deperibile, interruzione delle vendite e potenziali rischi per la salute dei consumatori.
Questo attacco dimostra come un dispositivo OT, apparentemente marginale, possa diventare il vettore di una crisi operativa su scala nazionale.
Attacco al sito della Farnesina: la vulnerabilità delle infrastrutture governative
Il terzo caso esaminato a Cybertech Europe è stato l’attacco al sito web del Ministero degli Affari Esteri italiano. Sebbene l’attacco non abbia compromesso dati sensibili, ha provocato l’indisponibilità temporanea del portale, impedendo l’accesso a informazioni diplomatiche, moduli di contatto e servizi per cittadini all’estero.
Le analisi preliminari indicano l’uso di una vulnerabilità di tipo cross‑site scripting (XSS) sfruttata da script automatizzati per inondare il server di richieste. La risposta del Ministero ha previsto il ripristino dei servizi, la revisione del codice e l’attivazione di un Web Application Firewall (WAF) avanzato.
Il caso evidenzia due aspetti cruciali:
- Le infrastrutture governative, pur essendo spesso dotate di budget più elevati, possono presentare debolezze di sviluppo software comparabili a quelle del settore privato.
- La perdita di disponibilità di un servizio pubblico, anche se temporanea, ha ripercussioni sulla percezione di affidabilità istituzionale e sulla capacità di risposta a emergenze diplomatiche.
Verso una nuova definizione di resilienza cyber
Il filo conduttore di tutti questi episodi è l’abbandono dell’idea tradizionale di cybersecurity come mera difesa perimetrale. La resilienza deve invece essere intesa come capacità di assorbire perturbazioni, preservare le funzioni essenziali e recuperare rapidamente.
Per realizzare questo obiettivo le organizzazioni devono:
- Implementare una mappatura completa delle dipendenze tra IT, OT e fornitori terzi.
- Adottare modelli di Zero Trust che verificano ogni accesso, indipendentemente dalla rete di provenienza.
- Stabilire piani di continuità operativa che includano scenari di guasto a cascata.
- Rafforzare la governance con ruoli chiari per CISO, CIO e responsabili della supply chain digitale.
- Promuovere la cultura della sicurezza anche nelle PMI, che spesso fungono da punto di ingresso per attacchi più ampi.
Solo con un approccio integrato, che consideri le proprietà emergenti dei sistemi interconnessi, sarà possibile trasformare la resilienza cyber da concetto teorico a capacità operativa tangibile.